Hunderte irreführende VPN-Erweiterungen im Chrome Store

Inhaltsverzeichnis close notice This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. . Zur Umgehung amtlicher Websperren brauchen Nutzer verschlüsselte Verbindungen (Virtual Private Networks, VPN). Es gibt zahlreiche Anbieter – aber auch Betrüger, die unter fremden Namen auftreten. Anfang Juni hat Palo Alto Networks über 18 betrügerische Erweiterungen für Chrome und andere Chromium-basierte Browser berichtet, die im Chrome Web Store feilgeboten werden. Doch das Problem ist viel größer. Google hat nur teilweise reagiert. Das IT-Sicherheitsunternehmen Socks beschuldigt den Datenkonzern, die Herausgeberkonten einfach weitermachen zu lassen. Weiterlesen nach der Anzeige Demnach haben jene 15 Herausgeber, die Palo Alto Networks vor über zwei Monaten aufgedeckt hat, immer noch 250 Plugins im Chrome Web Store gelistet, die zum Teil die selben IP-Adressen nutzen. heise security hat Google gefragt, wann es von den Machenschaften in Kenntnis gesetzt wurde und warum es die Herausgeberkonten unbehelligt lässt. Eines der 18 Anfang Juni aufgeflogenen Plugins sei nach wie vor im Chrome Web Store, sagt Socks. Diese Firma haben wir gefragt, wann sie Google über ihre Erkenntnisse informiert hat. Viel größeres Problem Palo Alto Networks Entdeckung war nur die Spitze des Eisberges. Socks hat nicht weniger als 737 verdächtige angebliche VPN-Erweiterungen mit (laut Chrome Web Store) insgesamt rund 75,000 Installationen ausgemacht, verteilt auf 40 Herausgeber. Google hat 221 Erweiterungen entfernt, die restlichen 516 waren am Dienstag noch online. Strichproben heise securitys von Donnerstagabend zeigen, dass tatsächlich noch viele der inkriminierten Browsererweiterungen online sind. Nur eine einzelne Erweiterung konnten wir im Chrome Web Store nicht mehr vorfinden. Insgesamt hat Socks 525 Erweiterungen analysieren können. Alle dürften aus der selben Quelle stammen, nutzen sie doch das selbe Analytics-Konto bei Yandex Metrika. Zudem gibt es andere technische Gemeinsamkeiten und, in mehr als der Hälfte der Fälle, für eine verbundene Domain die selbe russische Steuernummer eines Einzelunternehmers. Über 90 Prozent richten sich an russisch sprechende Nutzer. Häufig geben die Erweiterungen vor, von einem bekannten VPN-Dienst wie Proton, NordVPN, Surfshark, Adguard, Windscribe oder von Cloudflare oder Google zu stammen. Insgesamt sind 66 Marken betroffen, darunter AmneziaVPN und AntiZapret, die in Russland für erfolgreiche Websperrenumgehung bekannt sind. Mache Einträge im Chrome Web Store behaupten, dass ein namentlich genannter russischer Journalist sie empfehlen würde, wofür es aber sonst keine Anhaltspunkte gibt. Auch erfundene Markennamen werden für den angeblichen VPN-Dienst genutzt. Keine Verschlüsselung Fast alle analysierten Erweiterungen erbitten nur die Browserberechtigung proxy und leiten dann jeglichen Browserverkehr (ausgenommen lokaler Loopbacks) über eine SOCKS5-Infrastruktur – ähnlich wie ein legitimes VPN es tun könnte, nur ohne jegliche eigene Verschlüsselung. Alle bieten „Premium”-Abonnements für angeblichen Zugriff auf 200 Server in Australien, Japan, Kanada, Singapur und der Türkei an, bezahlt wird über Telegram. Tatsächlich habe kein einziger dieser 200 Server einen A-Eintrag im DNS, sagt Socks. Weiterlesen nach der Anzeige Wer bezahlt, bezahlt also für nichts. Nur für eine Einzelne der Erweiterungen gibt es ein Abonnement, bei dem Verkehr über VLESS-REALITY auf Port 443 läuft, was womöglich Deep Packet Inspection verhindert. Apropos DNS: Ein Teil der Erweiterungen findet seine SOCKS5-Server über fix eingestellte IP-Adressen, andere nutzen DNS-over-HTTPS (DoH). Der Computer des Opfers stellt also keine einzige DNS-Abfrage in Klartext. Der Betreiber der SOCKS5-Server kann natürlich alles mitlesen, das nicht sowieso verschlüsselt ist: alle aufgerufenen Web-Adressen, die Server Name Indication aller TLS-verschlüsselten Verbindungen, die IP-Adresse des Nutzers, und alles, was sonst unverschlüsselt übertragen wird, auch Passwörter auf HTTP-Seiten. Maßnahmen Der Betreiber gibt zwar an, keine personenbezogenen Daten zu sammeln und nichts zu loggen, aber das muss ihm glauben. Socks hat die bis Ende 2025 eingesetzte Version der Datenschutzbestimmungen gefunden. Demnach befolgt der Betreiber russische Vorschriften und gibt durchaus Daten an russische Behörden weiter werden, wenn diese danach fragen. Socks hat die Liste der Chrome-Web-Store-IDs der 737 Erweiterungen veröffentlicht, zudem eine Liste genutzter IP-Adressen und Domainnamen. Anwender sollen unter chrome://settings nach möglichen „proxy“ suchen. Wer eine der 737 Erweiterungen installiert (gehabt) haben könnte, soll alle Passwörter ändern, die er auf unverschlüsselten HTTP-Seiten eingegeben haben könnte und davon ausgehen, dass sein Browserverlauf in falsche Hände gelangt ist.